原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
油田企业网络安全对抗技术趋势
分析及未来发展探讨
汇报提纲
第一部分国内外网给安全形势
第二部分油田企业网络安全对抗技术变化
第三部分油田企业网络安全未来发展探讨
一、国内外网络安全形势
石油天然气行业一直以来也是全球APT组织的关注目标，国家计算机网络与信息安全管理中心去年发布了一份报告，对21起
石油天然气行业网络安全事件进行分析，发现攻击主要集中在管道、炼油及加油站等下游环节。根据目前公开的分析报告，我国
石油天然气行业主要面临APT-C-00（海莲花/越南）与APT-C-39（CIA/美国）两个组织的威胁。
CISRC整理的21个石油天然气2022年公开报告中捕获的海莲花木马样本及横向记录
行业网络安全事件
汇报提纲
第二部分油田企业网络安全对抗技术变化
第三部分油田企业网络安全未来发展探讨
二、油田企业网络安全对抗技术变化
1、随着防火墙的技术发展，WEB常规漏洞的危害性逐渐降低
油田企业网络存在着大量的自建B/S架构系统，这些WEB系统在过去受限于框架体系的不成熟，需要开发人员手动拼接
SQL、编写文件管理代码等，操作不当就会造成SQL注入、文件上传、XSS等漏洞。随着近年来技术的发展，即使老系统仍旧
存在这些漏洞，通过安装WAF防火墙也能有效抵御这些攻击。
用户输入参数未经任何处理，直接拼接成用户输入参数未经任何处理，后端渲染或非文件上传存储目录能够外部访问且具有脚本执行权
SQL语句，从而造成SQL注入漏洞安全DOM操作方法造成XSS限，攻击者上传木马即可拿下服务器权限
二、油田企业网络安全对抗技术变化
2、在规范化管理系统开发流程后，源头上杜绝了WEB常规漏洞的存在
集团公司近年来在各个单位推行“梦想云”统一架构，在前后端框架、中间件及代码规范上做了相应的规定要求，即在选定
的技术成熟的框架上按规范做开发。通过这种方式，削弱了基础安全对程序员个体能力的高度依赖，从源头上避免常规漏洞的出
现。基础框架的统一同时也降低了平台安全运维难度，平台运维人员仅需要关注框架的漏洞并进行修补更新。
前端架构后端架构
SQL注入使用ORM框架、参数绑定进行安全
基于VUE3+TypeScript+Ant-Design-Vue等基于SpringCloud分布式框架作为底层技术，统SQL查询
主要技术实现应用视图层展现。一技术标准，降低运维难度。
通过功能块迭代开发模式逐步构建项目的业务模对接梦想云技术中台组件，实现用户统一权鉴认文件上传文件使用统一的对象存储，上传目
录不可能执行脚本
块功能。统一技术标准，降低运维难度。证，保障用户信息安全。
XSS前后端分离、使用安全的DOM操作，
对用户输入进行编码与过滤
文件包含使用统一的对象存储、并前后端分
离，Spring后端无法直接包含代码
目录遍历使用统一的对象存
文档评论（0）